¿Es seguro este link? Cómo revisar un magic link

Escribes tu correo y el sitio te dice: “Revisa tu bandeja de entrada”. Un momento después llega un correo con un botón: Iniciar sesión, Inicia sesión en Slack o Confirma que eres tú. Ese botón es un magic link. Haces clic y ya estás dentro.

En pocas palabras: haz clic en un enlace de acceso solo si acabas de pedirlo. Antes de hacer clic, comprueba que abre el sitio en el que estás iniciando sesión. Si falla cualquiera de las dos cosas, no hagas clic. Ve al sitio por tu cuenta y pide un enlace nuevo.

¿Qué es un magic link?

Un magic link es un enlace de acceso que lleva dentro una clave secreta de un solo uso. El correo solo llega a tu bandeja de entrada, así que abrir el enlace demuestra que esa bandeja es tuya. Por eso ya no hace falta la contraseña.

• Suele funcionar una sola vez.
• Dura poco, a menudo entre 10 y 30 minutos.
• En muchos sitios, quien lo abre inicia sesión. Así que nunca lo reenvíes ni compartas una captura de pantalla.

Cada sitio los llama de una manera: magic link, enlace de acceso, enlace de inicio de sesión, “enlace de un solo uso” o el correo de “¿Eres tú?”. Todos funcionan igual.

Por qué funcionan los enlaces falsos

Como esperas estos correos, haces clic sin pensarlo. Uno falso parece idéntico, pero su botón abre una copia del sitio real. Esa copia te pide la contraseña, un código o los datos de tu tarjeta. Todo lo que escribas le llega a quien la creó. Así funciona el phishing.

Cómo saber si un link es seguro en cinco pasos

1. ¿Lo acabas de pedir? Si no estabas iniciando sesión justo ahora, no hagas clic. Alguien escribió tu dirección de correo, por error o a propósito. Sin el enlace no puede entrar, así que ignora el correo.
2. Revisa la dirección del remitente, no el nombre. El nombre puede decir cualquier cosa. Lo que cuenta es lo que va después de la @.
3. Mira adónde lleva el botón, sin hacer clic. En la mayoría de las apps de correo, deja el puntero sobre el botón y aparece la dirección. En Gmail, en el navegador, se muestra en la esquina inferior de la ventana. También puedes hacer clic en el botón con la tecla Control, elegir Copiar enlace y pegarlo en una nota.
4. Lee bien el nombre del sitio. Busca la primera barra (/) después de https://. El sitio es lo que va justo antes, leído de derecha a izquierda. Mira los ejemplos de abajo.
5. Después de hacer clic, mira antes de escribir. Un magic link real te deja dentro sin más. Si en cambio la página te pide la contraseña o la tarjeta, ciérrala.

Cómo leer un enlace: ¿real o falso?

El sitio son las dos últimas partes del nombre, justo antes de esa primera barra. En direcciones como bank.co.uk, son las tres últimas.

Supón que esperas un enlace de acceso de Notion:

• https://www.notion.so/loginwithemail?token=… abre notion.so. Es Notion.
• https://notion.so.sign-in.example/verify abre sign-in.example. “notion.so” es solo el principio del nombre.
• https://notion-so.com/login abre notion-so.com. Un nombre que se parece, pero es otro.
• https://example.com/r?u=notion.so abre example.com. Notion solo aparece después de la barra.

Eso sí, hay una excepción: algunos correos reales hacen pasar sus enlaces primero por un servicio de envío de correos. Entonces la dirección puede no tener nada que ver, aunque el correo sea legítimo. A simple vista no hay forma de distinguir un link así. Si tienes dudas, ve al sitio por tu cuenta y pide un enlace nuevo.

Si ya hiciste clic

• No escribiste nada: cierra la página. Solo abrir una página rara vez hace daño.
• Escribiste una contraseña: cámbiala ya en el sitio real y en cualquier otro donde la uses. Activa la autenticación en dos pasos.
• Escribiste un código o los datos de tu tarjeta: avisa al servicio o a tu banco, y revisa si en la cuenta hay dispositivos o pagos que no reconoces.

Cómo te ayuda CodeCatch en tu Mac

Creé CodeCatch para los códigos de verificación, y los enlaces de acceso dan el mismo trabajo. Lee tu correo de Apple Mail, Gmail y otras cuentas, y muestra cada enlace de acceso nuevo junto a tus códigos. Ves qué sitio abre antes de decidir.

• Nunca abre un enlace por su cuenta. Tú haces clic en Open Link o Copy Link.
• Muestra el sitio que abre el enlace, leído de la forma correcta.
• Si ese sitio no coincide con la dirección del remitente, te avisa, como en la imagen de arriba.
• Elige solo el botón de inicio de sesión, no los enlaces para darte de baja ni los de ayuda. Y solo acepta enlaces https seguros.
• Los enlaces para restablecer la contraseña pasan por la misma revisión.

Es una pista, no una garantía. El aviso compara el enlace con la dirección del remitente, y esa dirección se puede falsificar. El paso 1 sigue siendo el más importante: haz clic solo en enlaces que hayas pedido tú.

Preguntas frecuentes